Um orçamento que não chega, uma fatura encontrada no spam: quando os seus emails vão parar ao spam, a causa lê-se no cabeçalho da mensagem recebida. Três registos do seu domínio, SPF, DKIM e DMARC, provam aos serviços de email que os seus envios vêm mesmo de si. Este guia configura-os pela ordem certa.
Authentication-Results dá o veredicto SPF, DKIM e DMARC._dmarc.o-seu-dominio.com, começando por p=none e um endereço para os relatórios.p=quarantine e, por fim, a p=reject.Cada serviço de email que recebe uma mensagem verifica de onde ela vem e regista o resultado no cabeçalho. Para o ler, envie um email a partir do seu endereço profissional para um endereço Gmail, abra-o e clique em Mais (os três pontos) e depois em Mostrar original. Procure a linha Authentication-Results:
Authentication-Results: mx.google.com;
dkim=pass header.i=@o-seu-dominio.com header.s=google;
spf=pass (google.com: domain of contacto@o-seu-dominio.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=contacto@o-seu-dominio.com;
dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=o-seu-dominio.com| O que lê | O que significa | A secção a seguir |
|---|---|---|
spf=fail ou spf=softfail | O servidor que enviou a mensagem não está na lista SPF do domínio. | 1. SPF |
spf=permerror | O registo SPF é inválido: dois registos para o mesmo domínio, ou mais de dez pesquisas DNS. | 1. SPF |
dkim=none ou dkim=fail | A mensagem não está assinada, ou a chave publicada no DNS não corresponde à assinatura. | 2. DKIM |
dmarc=fail | Nem o SPF nem o DKIM validam o domínio do endereço de remetente visível para o destinatário. | 3. DMARC, e o formulário do site |
Tudo em pass | A autenticação está em ordem: a causa está noutro lado, na reputação, no volume ou no conteúdo. | Quando tudo passa |
Estas três configurações estão desigualmente difundidas. Nos 1 730 domínios de PME que recebem correio do nosso levantamento mensal, 96 % publicam um SPF, e 71 % não têm qualquer política DMARC que atue sobre o resultado.
O SPF é um registo TXT colocado na raiz do domínio. Começa por v=spf1, nomeia os servidores autorizados a enviar pelo domínio e termina com o que pensar de todos os outros. Os dois fornecedores de email mais difundidos publicam o valor a utilizar:
v=spf1 include:_spf.google.com ~allv=spf1 include:spf.protection.outlook.com -allCada outro serviço que envia com o seu domínio acrescenta-se a este mesmo registo: ferramenta de email marketing, software de faturação, CRM, e o servidor do seu site se os formulários enviarem eles próprios. Cada um indica na sua documentação o include: a acrescentar; um servidor declara-se pelo endereço, com ip4::
v=spf1 include:_spf.google.com ip4:203.0.113.25 ~allv=spf1 tornam o SPF inválido (permerror): junte-os num só.include, a, mx, ptr, exists e redirect conta, incluindo os que estão dentro dos include. Acima de dez, o SPF é inválido. ip4 e ip6 não contam.-all declara qualquer outro servidor como não autorizado, ~all assinala-o sem o declarar ilegítimo. O Google propõe ~all na sua documentação, a Microsoft -all. Com o DMARC configurado, é a política dele que decide o destino de uma mensagem que falha.O DKIM acrescenta a cada mensagem uma assinatura, que o serviço de email do destinatário verifica com uma chave pública publicada no seu DNS, com um nome da forma seletor._domainkey.o-seu-dominio.com. A assinatura gera-se no serviço que envia; o seu papel é publicar a chave que ele lhe dá.
google, e a Google recomenda uma chave de 2048 bits. Publique o registo TXT google._domainkey e volte depois para clicar em «Start authentication».https://security.microsoft.com/authentication?viewid=DKIM). O DKIM assenta aí em dois registos CNAME, selector1._domainkey e selector2._domainkey, cujos valores exatos para o seu domínio o portal mostra: copie-os tal como estão e ative depois a assinatura.O Gmail aceita chaves de 1024 bits ou mais; 2048 bits é o comprimento recomendado pela norma. Conte até 48 horas até a chave publicada ficar visível em todo o lado.
O DMARC liga o SPF e o DKIM ao endereço que o destinatário vê, o do campo From. Uma mensagem passa o DMARC se o SPF ou o DKIM for válido para o domínio desse endereço: é o alinhamento. O registo diz também o que fazer a uma mensagem que falha, e para onde enviar os relatórios.
v=DMARC1; p=none; rua=mailto:dmarc@o-seu-dominio.com| Política | O que o domínio pede | Quando a escolher |
|---|---|---|
p=none | Nenhuma ação: os serviços de email enviam apenas relatórios. | No início, para identificar tudo o que envia com o seu domínio. |
p=quarantine | Colocar no spam as mensagens que falham. | Quando os relatórios já só mostram envios legítimos que passam. |
p=reject | Recusar as mensagens que falham. | Quando quarantine funciona há algumas semanas sem perda de mensagens legítimas. |
p=none com um endereço rua. Os grandes serviços de email enviam para lá todos os dias um relatório agregado, um ficheiro XML comprimido que lista os servidores que enviaram com o seu domínio e o respetivo resultado.p=quarantine e, depois de algumas semanas sem perdas, a p=reject. Se as suas equipas escrevem em listas de distribuição, fique em quarantine: a norma desaconselha reject para esses domínios, porque as listas modificam as mensagens que redistribuem.Os guias mais antigos propõem uma subida progressiva com a etiqueta pct. A versão atual da norma DMARC, o RFC 9989 publicado em maio de 2026, deixou de a reconhecer: a progressão faz-se pela própria política.
Muitos formulários de sites enviam a mensagem com o endereço do visitante como remetente. O servidor do site não tem qualquer autorização sobre o domínio desse visitante: o SPF e o DKIM não se podem alinhar, e o DMARC falha. Se o serviço de email do visitante publicar uma política estrita (yahoo.com publica p=reject), a mensagem é recusada ou colocada no spam antes de lhe chegar.
formulario@o-seu-dominio.com.Reply-To): o endereço do visitante, para que o botão Responder lhe escreva diretamente.https://check.spamhaus.org/, verifica gratuitamente um endereço IP ou um domínio.p=none, o alinhamento, a anulação da subscrição com um clique e uma taxa de spam comunicado abaixo de 0,3 %. Desde novembro de 2025, o Gmail recusa uma parte das mensagens que não cumprem estas regras. A Yahoo aplica exigências próximas sem publicar um limiar, e o Outlook.com recusa desde 5 de maio de 2025 as mensagens dos domínios que enviam mais de 5000 mensagens por dia sem SPF, DKIM e DMARC.postmaster.google.com) mostra a reputação do seu domínio e a taxa de spam no Gmail, depois de o domínio ser validado por um registo DNS. Os painéis preenchem-se a partir de um volume de envio suficiente.A Simafri Suite reúne o email, o calendário, os contactos e os ficheiros de toda a sua equipa no seu nome de domínio, instalados, protegidos e acompanhados pela Simafri. Uma conta, utilizadores ilimitados, sem fidelização.
Cada serviço de email aplica os seus próprios filtros e a sua própria leitura do SPF, do DKIM e do DMARC. Uma mensagem pode passar num e ser colocada no spam noutro, em particular se a autenticação estiver incompleta. O cabeçalho Authentication-Results da mensagem recebida dá o veredicto do serviço em causa.
Um domínio tem um único registo SPF. Com dois registos que começam por v=spf1, a verificação SPF devolve um erro permanente (permerror). Junte os dois num único registo que retome todos os include e todos os endereços.
O tempo de propagação do registo, conforme a sua duração de vida (TTL): de alguns minutos a 48 horas. A Google indica até 48 horas para o SPF e o DKIM. Verifique depois com um novo envio para o Gmail e a opção Mostrar original.
p=none pede apenas relatórios: os serviços de email não aplicam qualquer medida às mensagens que falham. Esta etapa serve para identificar os serviços que enviam com o seu domínio. A proteção contra a usurpação chega com p=quarantine e depois com p=reject.
Simafri
Vamos falar do seu projeto
Diga-nos em poucas palavras o que precisa: respondemos-lhe rapidamente.
Obrigado! O seu pedido foi enviado. Responderemos em breve.
Prefere o email? Escreva-nos para support@simafri.com.